Phishing co to jest: 4100 z 6484 incydentów w 2019 i sygnały fałszywej wiadomości

Phishing co to znaczy w praktyce: fałszywy e-mail albo SMS, który udaje firmę kurierską, urząd, operatora telekomunikacyjnego, a czasem twojego znajomego. Cel jest zawsze ten sam - wyłudzić dane do logowania do banku, konta w mediach społecznościowych albo systemów firmowych. Najprościej bronisz się tak: nie klikasz w link ani nie odpowiadasz, dopóki nie masz pewności, kto jest nadawcą.

Opieram się na poradniku w bazie wiedzy Gov.pl, który przeczytałem w całości 1 listopada 2026. Poniższe zasady pochodzą z niego.

Phishing co to jest i dlaczego działa

Gov.pl opisuje phishing jako jeden z najpopularniejszych typów ataków opartych o e-mail lub SMS. Wykorzystuje on inżynierię społeczną, czyli technikę, w której przestępcy próbują cię nakłonić, żebyś sam podjął działanie po ich myśli. Nie łamią zabezpieczeń, tylko przekonują cię, żebyś ich ominął.

Nazwa kojarzy się z angielskim fishingiem, czyli łowieniem ryb. Przestępcy, jak wędkarze, używają odpowiednio przygotowanej przynęty. Najczęściej są to sfałszowane e-maile i SMS-y.

Wiadomość ma wyglądać na autentyczną, a według poradnika może:

• skłaniać cię do ujawnienia poufnych informacji,
• zawierać link do strony rozprzestrzeniającej szkodliwe oprogramowanie, często o nazwie podobnej do prawdziwej witryny,
• mieć zainfekowany załącznik.

Poradnik zaznacza też, że oszuści coraz częściej działają przez komunikatory i portale społecznościowe. Jako przykład podaje „metodę na BLIKa".

Ile jest takich oszustw: dane CSIRT NASK z 2019 roku

Poradnik przywołuje statystykę zespołu reagowania na incydenty cyberbezpieczeństwa CSIRT NASK. W 2019 roku zespół zarejestrował 6484 incydenty, a 4100 z nich było atakami typu „fraud", czyli oszustwami internetowymi. Gov.pl podkreśla, że do takich oszustw wykorzystuje się przede wszystkim phishing.

To dane sprzed kilku lat i tylko z jednego roku. Strona Gov.pl nie podaje nowszych liczb, więc nie porównuję ich z 2026 rokiem. Traktuj je jako skalę problemu, nie jako aktualną statystykę. O świeższych kampaniach, także z udziałem sztucznej inteligencji, pisałem w tekście o reklamach deepfake we wrześniu 2026.

Jak rozpoznać e-mail wyłudzający informacje

Poradnik zbiera sygnały, które warto sprawdzić przed jakąkolwiek reakcją. Żaden z nich osobno nie jest dowodem, ale kilka naraz powinno cię zatrzymać.

Ukryte zagrożenie i słowa, które popychają do kliknięcia

Poradnik zwraca uwagę na wiadomości, które sugerują ukryte zagrożenie wymagające natychmiastowego działania. Wzorem są zdania typu „wyślij te dane w ciągu 24 godzin". Termin ma ci odebrać czas na sprawdzenie. Jeśli w wiadomości pojawia się pośpiech, to samo w sobie jest powodem, żeby zwolnić.

Linki w phishingu: skrócone adresy i podróbki domen

Najczęściej ofiara traci dane na stronie, do której prowadzi link. Gov.pl radzi więc, żeby do czasu potwierdzenia nadawcy w ogóle nie klikać w linki ani nie odpowiadać na wiadomość.

Poradnik wskazuje dwie pułapki:

• Skrócone adresy (tiny-URL). W SMS-ach i mailach przestępcy często ich używają, bo nie widać, dokąd prowadzą.
• Podobne nazwy domen. Zamiast www.allegro.pl może pojawić się fałszywy adres www.allegrosklep.online. Zwracaj więc szczególną uwagę na nazwy stron w podejrzanych wiadomościach.

Jak sprawdzić skrócony link bez klikania? Najedź na niego wskaźnikiem myszy, nie klikaj, a na dole przeglądarki zobaczysz pełen adres. Ta metoda działa tam, gdzie masz myszkę, czyli na komputerze.

Spear-phishing i wiadomości od „znajomych"

Gov.pl wyróżnia spear-phishing jako zdecydowanie bardziej niebezpieczny rodzaj ataku. Jest ukierunkowany na konkretnego adresata, a wiadomość może być spersonalizowana i odwoływać się do waszych relacji. Przestępcy mogą podszywać się pod partnerów biznesowych, z którymi faktycznie współpracujesz.

Poradnik zaznacza, że takiemu atakowi często towarzyszy dokładne rozpoznanie firmy, urzędu albo danych o tobie dostępnych w mediach społecznościowych. Dla twórców to ważne ostrzeżenie. Publiczny profil, widoczne współprace i adresy kontaktowe dla biznesu to dokładnie te informacje, z których można zbudować wiarygodną wiadomość. Podobny mechanizm podszywania się pod znane postacie opisuję w tekście o rozpoznawaniu oszustw z influencerem w tle.

Druga sprawa to linki od znajomych. Według poradnika przestępcy coraz częściej przejmują cudze konta w mediach społecznościowych i podszywają się pod rodzinę oraz znajomych. Dlatego sprawdzaj, czy link faktycznie prowadzi do właściwej strony, nawet gdy przysłała go bliska osoba.

Czego bank i urzędy nie robią w wiadomościach

Poradnik podaje kilka zasad, które możesz zapamiętać jako filtr:

• bank ani żadna inna instytucja nie powinny prosić o podanie danych osobowych w wiadomości e-mail,
• urzędy administracji publicznej nigdy nie proszą przez SMS ani e-mail o dopłatę do szczepionki czy uregulowanie należności podatkowych,
• każde polecenie z wiadomości możesz zweryfikować, dzwoniąc do banku i pytając, czy taka wiadomość rzeczywiście została wysłana,
• możesz też wyszukać w Google lub podobnej wyszukiwarce wybrane słowa użyte w podejrzanym mailu.

Telefon do banku wykonujesz na numer, który znasz niezależnie od wiadomości, a nie na ten z podejrzanej treści. To mój wniosek z logiki zasady, poradnik nie precyzuje tej kwestii.

Co zrobić z podejrzaną wiadomością

Poradnik opisuje trzy ruchy, w tej kolejności:

• Oznacz wiadomość w skrzynce. Wybierz opcję spam, wiadomości śmieci albo podejrzany. Mail zniknie ze skrzynki, a dostawca poczty dostanie sygnał, że uznałeś go za potencjalnie niebezpieczny.
• Zgłoś do CERT Polska. Wejdź na incydent.cert.pl, wypełnij krótki formularz online, dołącz podejrzaną wiadomość i wyślij.
• Zgłoś policji lub prokuraturze. Gov.pl wymaga tego niezwłocznie, jeśli masz uzasadnione podejrzenie, że jesteś ofiarą oszustwa albo wykryłeś jego próbę.

Poradnik nie opisuje osobno kroków na wypadek kliknięcia w link lub podania danych. Co zrobić po utracie pieniędzy, opisuję w tekście jak zgłosić oszustwo internetowe. Jeśli oszuści weszli w posiadanie twoich danych osobowych, osobny poradnik opisuje, jak zastrzec PESEL. Więcej tekstów o schematach oszustw znajdziesz w dziale scam.

FAQNajczęstsze pytania